ARTICLE · 998813
律师使用AI的合规分析——国内篇(上):现状与不足
*本文首发于“IBL国际商事法律实务”公众号
系列说明
本系列共两篇、四次推送：本篇《律师使用 AI 的合规分析（国内篇）》（上、下）处理境内数据交境内服务商的情形，建立"监管基线 + 合规采购 + 用途路由"的分析框架；后篇《律师使用 AI 的合规分析（境外篇）》（上、下）处理境外服务商——能不能合法连上（绕墙与 Token 中转站的违规风险）、连上之后数据怎么流（训练承诺、Agent 后门、数据出境），三道关卡各自独立，每一道都要单独解决。建议按顺序阅读。
另需说明：本系列由 AI agent 辅助完成。文中所言，本文先行。
▷本篇说明
国内篇篇幅较长，分上、下两篇发布。上篇梳理监管现状与制度不足，下篇给出解决方案与未来展望，两篇合为完整的国内篇。
引 言
我们不止一次被同行和客户问到同一个问题：把案情摘要、合同草稿或者尽调材料贴进 AI 的对话框，到底安不安全？
问题看起来朴素，背后却有一件容易被忽略的事：贴进去的不只是一段文字，还有律师对委托人的保密义务。而 AI 产品不会在你按下“发送”之前提醒这一点。
本文试着把这件事讲清楚：现行规则管住了什么，还有哪些没管住。
太长不看版（省流）
01
律师用AI安不安全，先看怎么调用，而非哪家厂商：C端网页/APP（轨道一，即人人可注册的聊天产品，如 DeepSeek 网页版/APP、豆包）通常保留将你的输入用于训练的权利，只能问概括性法律问题，任何具体案件事项都不该进；API/企业版（轨道二，即企业采购或开发者接入的产品，如阿里云百炼、百度千帆企业版、火山方舟企业 API、DeepSeek 开放平台）普遍承诺"不训练"，才是能承载保密事项的轨道。条款逐家有别、同一厂商两轨并存：DeepSeek 网页版保留训练条款而其开放平台 API 没有，腾讯元宝的"体验优化计划"则默认关闭、属 C 端中的例外——用前逐个核验，别按品牌想当然。
02
别指望脱敏兜底：改名换数字在法律上只是去标识化（仍是个人信息），技术上挡不住大模型从上下文反推身份。需要脱敏才敢问的事项，本就不该走那条轨道。
03
监管框架已初步成型（三驾马车＋双备案＋清朗专项），选服务商第一道过滤网是查双备案。
04
但仍有缺口：服务商内部人员能否"偷看"实时输入，尚无穿透式监管；"不训练"≠"不留存"，国内因法定日志义务不存在真正的零留存；AI还会一本正经编造案例——已有律师向法院提交AI假案例被写入判决书批评，输出必须人工核验。
05
律协指引与律所内控仍在起步，现阶段真正可依赖的是国家监管＋合同约束。怎么落地，见下篇。
一
现状：
监管框架已初步建立
（一）两条轨道：C端产品与企业级调用
回答上面那个问题，第一步不是挑厂商，而是看你用的是哪一类产品。同一家公司的 AI，面向公众的聊天产品和面向企业的接口产品，服务条款可能完全不同。国内主流平台在企业级产品上已普遍承诺不使用用户数据训练，但这只是故事的一半。分界不在厂商，也不在价格（C 端免费和付费订阅往往是同一份条款），而在你是怎么调用它的。
轨道一：C 端消费产品（网页版、APP，免费和付费订阅都在此列）
这类产品面向公众，条款通常保留把用户输入用于训练或优化的权利，同时提供一个关闭的开关。典型表述是，在去标识化的前提下，平台"可能会将服务所收集的输入及对应输出，用于模型训练和服务的优化"，用户可以关闭"数据用于优化体验"来退出。DeepSeek 网页端和 APP 即属此类（《用户协议》第 4.3 条，条号以官方最新文本为准）；豆包同样需要用户自己到设置中关闭"帮助改进模型效果"；通义千问、文心一言等产品的 C 端隐私政策也普遍保留了服务优化的权利。
但条款是逐家不同的。腾讯元宝经 2025 年 3 月的协议调整，把"体验优化计划"默认设为关闭，用户不主动开启就不会用于模型优化，在 C 端里属于例外（以最新文本为准）。所以判断只能逐个产品去看条款，不能按品牌想当然。
这条轨道的问题在于，训练授权通常是"默认开、用户退"，退出与否取决于用户是否记得去关；而且"训练"与"优化"的边界在条款中往往写得含糊。对律师来说，结论很直接：这条轨道不承诺不训练，因此只适合检索和咨询一般性的法律规则，具体的、负有保密义务的案件事项不应输入。
这里要破除一个常见的误解：脱敏不是这条轨道的"底线"。要么你问的本就是抽象的一般性问题，根本无需脱敏；要么你放进去的是具体事项，而脱敏既挡不住 AI 从上下文反推，又已经越过了保密的红线。需要脱敏才敢问的具体事项，本就不该走这条轨道。（脱敏为什么靠不住，下篇 3.3 会从法律定性和技术局限两方面详细分析。）
轨道二：生产级调用（API、企业版集成）
这类产品面向开发者和企业，条款通常明确默认不训练，常见的表述是"绝不会将您的数据用于模型训练"，或者"除非您单独同意，不使用您提交的内容训练、重新训练或改进基础模型"。阿里云百炼、百度智能云千帆企业版、腾讯云 TokenHub、字节跳动火山方舟企业 API 都属于这一类。DeepSeek 开放平台的服务协议作为专门约定 API 的具体协议，未含训练许可条款，协议层面没有授权将输入输出用于训练（具体以最新合同与隐私政策文本为准）。另需说明，腾讯 WorkBuddy 属于终端办公智能体（企业版 2026 年 6 月发布），与上述云 API 平台形态不同，作为办公侧工具使用时，同样需要逐个产品核验其数据处理条款。
训练这一层虽然被合同关上了，但不训练不等于零保留。日志留存等法定义务依然存在，需要通过服务协议中的数据处理条款来落实输入内容不留存与审计安排，这部分下篇会详细展开。
对律师而言，只有采购了企业版或 API，并且依据《个人信息保护法》第 21 条在协议中落实了数据处理条款（零训练、零优化、审计、隔离，注意国内不承诺零留存），才谈得上把具体的、负保密义务的事项交给 AI 处理。即便如此，能否承载保密事项，仍需逐个产品核验企业合同与服务商的受托处理地位。
同一家公司，两条轨道：DeepSeek
DeepSeek 是个现成的例子。同一个主体，网页端走的是轨道一，需要用户自己去关；开放平台 API 走的是轨道二，协议里没有训练条款。可见分界在于你怎么调用，而不在于哪家厂商。选工具的时候，与其问"用哪家"，不如先问"走哪条轨道"。
简单说，对不承诺不训练的产品，只应拿来问一般性的法律问题；具体案件的事项，无论脱敏与否，都不应输入。能处理保密事项的只有轨道二，依靠的是合同条款和审计安排，机密计算（TEE）可以在此之上再加一层保护，但代替不了合同。
（二）法律法规体系初步成型
我国已经构建起以《网络安全法》（2025 修正）、《数据安全法》《个人信息保护法》为基础，以专门规章与国家标准为补充的 AI 数据合规框架。这些规范的效力层级并不相同，弄清层级是评估合规义务的第一步：
《生成式人工智能服务管理暂行办法》（2023）
确立"告知—同意"原则，要求训练数据涉及个人信息须取得同意，并赋予监管部门监督检查权，是生成式 AI 服务的奠基性规章。
《网络数据安全管理条例》
（2025.1.1 施行）
其第十九条首次提出"提供生成式人工智能服务的网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理"，将训练数据安全写入行政法规。
GB/T 45654—2025
《网络安全技术 生成式人工智能服务安全基本要求》
（2025.4.25 发布、2025.11.1 实施）
规定若收集使用者输入信息用于训练，须提供便捷关闭方式，采用选项方式时，从服务主界面到关闭选项的操作不超过 4 次点击（细节以 GB/T 正式文本为准），并须显著告知。
GB/T 45652—2025
《网络安全技术 生成式人工智能预训练和优化训练数据安全规范》
规定预训练与优化训练数据及其处理活动的安全要求与评价方法。
《人工智能科技伦理审查与服务办法（试行）》
（工信部联科〔2026〕75 号，2026.3.20 印发施行）
由十部门联合印发，要求将科技伦理要求贯穿 AI 科技活动全过程，对高风险场景引入专家复核。该办法属部门规范性文件，效力层级低于部门规章。
《人工智能拟人化互动服务管理暂行办法》（五部门令第 21 号，2026.4.10 公布、2026.7.15 施行）
明确"除取得用户单独同意或法律另有规定外，属于用户敏感个人信息的交互数据，不得用于模型训练"。
这里要提示一句效力层级。实务文章常把 GB/T 标准与强制性规章并列叙述，但 GB/T 中的"T"就是"推荐"，属推荐性国家标准，不具强制约束力。它的价值在于成为大模型备案管理与安全测评的技术基准，服务商参照执行，监管以此评估，但违反它并不直接构成行政违法。把推荐性标准说成必须遵守的规则，会误导读者对自身合规义务的判断。
（三）监管机制已实现“全链条覆盖”
监管机构已经建立起事前准入、事中检查、事后执法的全流程机制。
事前是备案。服务商须完成算法备案和大模型备案，并提交训练数据来源说明。以上海为例，截至 2026 年 7 月已完成 169 款大模型备案，调用已备案模型 API 的生成式 AI 应用登记累计 183 款（截至 2026 年 6 月 8 日口径）。
对律师而言，是否完成双备案，应当成为选工具时的第一道过滤网。未完成备案的服务商，合规成色存疑，其训练数据来源与安全能力也未经监管审视。把已备案作为采购的前置条件，相当于用国家监管信息替代一部分自建尽调的工作。但要注意，备案是服务商自行填报的准入登记，不代表政府对主体或产品的认可，替代不了对合同条款、安全能力和子处理者的独立核查。
事中是检查。监管部门有权要求服务商说明训练数据构成、提供技术支持并配合检查。
事后是执法。据网信中国 2026 年 7 月 6 日通报，"清朗·整治 AI 应用乱象"专项行动自 2026 年 4 月启动以来，第一阶段已累计处置违规网站、应用程序、智能体等 AI 产品 1.4 万余款，清理违法违规信息 600 余万条，处置账号 2.6 万余个。
（四）业自律层：有益的初步探索，但远未成型
国家监管之外，行业自律与律所内控本应是第二、第三道防线。上海、宁夏等地的律协和一部分律所已经就律师使用 AI 做了自律探索，围绕脱敏、工具选型、输出复核给出了初步规范，填补了全国层面统一规则的空白，方向是好的。但客观地看，这类探索还处在起步阶段，规则数量少、多为试行，尚不足以构成成熟的治理层。
已有的规则中，有一部分对 AI 的工作原理理解不足。比较典型的有四类：把"脱敏"当成使用云端 AI 的安全前提，而脱敏在法律上属于去标识化，挡不住大模型从上下文反推；对敏感个人信息一律"即便同意也不宜上云"，未区分合规云与公共 AI；鼓励使用本地化脱敏工具，看似治本，实则没有触及最终那只 AI 是否训练、是否留存这个核心；对幻觉只作"律师自行核实"的笼统提示，没有给出可照做的核验流程。此外，律所层面普遍缺少成体系的内部 AI 合规流程，白名单、选型标准、留痕与监督预警多有缺失，仍然高度依赖律师个人的临场判断。这两类不足，后文与下篇会分别展开。
行业自律与律所内控的价值不能否定，但现阶段只能作为国家监管与合规采购之外的补充，而不是可以单独依赖的防线。
二
不足：
监管盲区与制度短板
（一）核心盲区：“偷看”问题缺乏直接规制
即便服务商承诺不用于训练，还有一个问题是监管难以实时监控的：内部运维人员或者高权限管理者，会不会在后台看用户的实时输入。
这个盲区的根源是 AI 推理的技术本质。数据必须在内存中以明文状态存在，模型才能理解并处理它。与传统网盘对比就很清楚：网盘存的是静态数据，用户侧或服务端加密之后以密文存储，主要风险是硬盘被读取，而加密技术已经足够成熟；大模型是动态计算，推理过程中数据在内存里是明文，风险点是内存被调试或捕获，这种防护技术目前尚未普及。
现有法规聚焦的是"是否用于训练"和"是否发生了泄露结果"，对于内部人员是否有权限、是否实际查看了实时输入这个过程，缺乏穿透式的监管标准，目前主要依赖企业自身的内控机制。需要说明的是，现行法律对服务商已经提出了权限控制、访问控制与安全措施等一般义务，缺的是针对 AI 推理场景、可供客户验证的细化技术标准。这才是"盲区"的准确含义。
对律师来说，这一点与《律师法》第三十八条的保密义务直接相撞。依该条，律师应当保守在执业活动中知悉的国家秘密、商业秘密，不得泄露当事人的隐私，并对委托人和其他人不愿泄露的有关情况和信息予以保密。当案件材料在服务商的内存中明文流转时，一份"不训练"的承诺并不能消除被内部人员看到的风险。因此，合同里的审计条款（谁看得见、留痕可查）反而是更基础也更现成的办法；机密计算（TEE）能在硬件层进一步压缩内部人员查看的空间，但有其边界（下篇 3.1 会讲），宜叠加而非替代合同控制。两者管的不是同一件事：审计条款管的是谁看得见，不训练条款管的是拿去练没练。
这个盲区在两条轨道上都存在，只是暴露程度不同。C 端用户既没有不训练的承诺，也无从追溯内部访问，敞口最大；企业级用户虽然关上了训练这一层，但推理那一刻的明文暴露同样不在任何不训练承诺的覆盖范围内。
左侧：网盘静态加密存储；右侧：AI 推理时内存明文流转，存在被内部人员查看的风险
（二）“去标识化”条款的模糊地带
部分服务商的协议里有一类例外条款：去标识化之后的数据可用于模型优化。承诺不训练与允许去标识化优化之间的边界，在协议层面往往写得不够清楚，需要逐条审阅。
一个可操作的办法，是把协议中的"训练"和"优化"拆成两个独立的禁止项来看。只禁止训练而不禁止优化的，意味着你的输入仍然可能被用于改进服务，比如风控模型、内容审核模型，只是不进入基础模型的权重；只有两者同时禁止，并且写明去标识化数据也不例外，才算完整。律师审阅服务条款时，不妨据此列一份数据权利对照表，逐项打勾确认，而不是通读一遍凭印象判断。
▷现成的例子
火山方舟企业 API 虽然承诺不训练，但其面向公众的体验中心条款允许将输入用于审核模型的优化（条款表述以最新文本为准）；DeepSeek 在网页端和 C 端是基于去标识化后的用户输入构造训练数据，而其开放平台 API 不含此条款。可见"不训练"这三个字背后，常常附带着需要逐条拆解的限定条件。
不妨回去翻翻你所里正在用的那几个 AI 工具的服务协议，看看训练和优化是不是被分开写的。在 C 端这类条款基本没有商量的余地，这也是这条轨道不适合承载保密事项的又一个理由；在企业级 API 上，则值得把例外条款一条条盯下来。
（三）法律张力：日志留存义务与“输入内容不留存”
《网络安全法》（2025 修正）第二十三条第（三）项（原第二十一条第（三）项）要求"采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月"。受此约束，国内平台无法提供海外某些产品所宣称的"零数据留存"协议。目前厂商的承诺主要集中在不用于训练，而不是不保留任何数据。对于处理高度敏感案件材料的律师来说，"不训练但可能留存日志"与"完全不留存"，是两种很不一样的风险。
对企业级用户，这个矛盾正是数据处理条款中"输入内容不留存"加"日志最小化"的谈判焦点，下篇 3.2 会给出具体的条款写法。对 C 端用户，几乎没有博弈的空间，既不能靠脱敏也不能靠谈判来承载保密事项，只能把用途限定在概括性问题上。
（四）可靠性盲区：幻觉
除了数据安全，律师用 AI 遇到的另一类高频问题是幻觉，也就是模型生成看起来很专业、实际上是虚构的内容，比如编造并不存在的案例、错误援引法条、忽略关键的例外情形。
需要先说清它的性质。幻觉本身不是合规问题，而是 AI 生成过程中的可靠性现象，它不像数据泄露、越权处理那样对应某一项具体的法定义务。但一旦失控，它会转化成执业责任：向法院提交虚假判例，就可能触及《民事诉讼法》第一百一十四条，也违背了勤勉尽责的要求。好在幻觉是可防可控的，关键不在于禁用，而在于工作流上的安排，下篇 3.5 会给出三道防线。
它的危险之处在于，输出往往高度贴合提问者的预期，带着一种"量身定制"的迷惑性，不是专业人士很难一眼识破。技术手段能压低编造率，但最后仍要靠律师自己核验：AI 引用的法条和案例，须通过权威数据库、裁判文书网等交叉验证真实性与时效性，不能直接采信。多地律协的指引已经把这一点列为输出准确性的核心风险，并要求人工复核。
北京市通州区法院审理的一起商事纠纷，提供了一个现成的教训。庭审结束后，原告代理人提交了书面代理意见，其中援引的两个案例与案号对应的真实案件完全对不上，它们是 AI 编造的。法院考虑到代理人属于过失、未造成严重后果，也没有影响裁判结果，认定情节相对轻微，不宜罚款拘留，最终在判决书中对其批评教育。该案 2025 年 4 月判决，同年 12 月入选人民法院案例库，裁判要旨写道：
诉讼参与人在民事诉讼活动中应当遵循诚信原则；诉讼参与人提交通过人工智能技术获取且未经甄别核实的虚假案例的，应当承担相应的法律后果；情节轻微的，人民法院可以对其进行批评教育；情节较重的，可以参照民事诉讼法第一百一十四条第一款的规定处理。
境外也有先例。Mata v. Avianca（2023）中，律师因使用 ChatGPT 提交虚假判例被罚 5000 美元；Park v. Kim（2024）中的律师则被移送纪律程序。各地指引在这一点上口径一致：使用 AI 的过错责任不可转移，律师始终是法律服务的最终责任人。
（五）制度短板：行业自律与律所内控均偏弱
2.1 到 2.4 讲的是监管尚未覆盖、技术尚未解决的盲区。律师行业 AI 治理还有另一类不足，来自制度层面，性质与监管盲区不同。
一是行业自律规则少，且有一部分对 AI 的理解不足。全国律协层面至今没有统一规范；地方律协虽有试行指引，但前面提到的那几类误读依然存在，尚不足以作为成熟的操作标准。
二是律所层面普遍缺少成体系的内部 AI 合规流程。多数律所还没有建立 AI 工具白名单、与数据分级挂钩的用途路由规则，以及使用留痕与监督预警机制，往往依赖律师个人的临场判断。
这意味着，即便国家监管持续完善，个体律师与单个律所仍可能因为"无规矩"而暴露在风险之中。对症的解法，见下篇。
团队介绍
万商天勤律师事务所IBL国际商事法律服务团队由多位拥有外资律所或海外工作经验的律师组成。团队致力于为客户提供公司事务与投融资、国际贸易、海商海事、能源、保险和商事争议解决相关的法律服务。
本文作者
黄伟杰
合伙人
上海办公室
huangweijie@vtlaw.cn
高怡雯
律师
上海办公室
gaoyiwen@vtlaw.cn
